Соответствие 152 ФЗ в Астрахани: кто ещё держит ключи от вашей базы
В этой статье
- Наследство прежнего подрядчика
- Резервные копии в корне сайта
- Форма, которая пишет данные в адрес страницы
- Экспорт заявок в таблицу
- С чего начинаем аудит соответствия 152 ФЗ
- Как отозвать доступы, если контактов подрядчика больше нет
- Мы ничего не храним, заявки только приходят на почту
- Как часто нужна повторная проверка сайта на соответствие 152 ФЗ
- Проверим доступы к вашему сайту
Утечка редко выглядит как взлом. Гораздо чаще данные уходят через доступы, которые когда-то выдали и забыли отозвать. В Астрахани это особенно заметно у компаний, переживших смену двух-трёх исполнителей: рыбопромысловых баз, поставщиков судового оборудования, транспортных фирм на иранском направлении и туристических хозяйств на Волге. Сайт работает, заявки идут, а список людей с доступом к ним никто не сверял с трудовыми договорами.
Наследство прежнего подрядчика
Стандартный набор, который мы находим при первом же аудите:
- FTP и SSH-аккаунты студий, закрывшихся несколько лет назад;
- администраторы в панели сайта с чужими почтовыми адресами и полными правами;
- доступ к панели хостинга, оформленной на подрядчика, а не на компанию;
- привязанный к личной почте фрилансера аккаунт аналитики со всеми отчётами.
Каждый такой доступ – это дверь к телефонам и адресам ваших клиентов, открытая человеку, который вам ничего не должен. Формально данные обрабатывает третье лицо, а никакого поручения на обработку нет.
Резервные копии в корне сайта
Второй источник утечек – архивы, забытые в открытой папке. Файлы backup.zip, dump.sql, site_old.tar.gz и baza.xlsx скачиваются по прямой ссылке без всякого пароля, и внутри лежит вся база заявок. Их находят автоматические сканеры быстрее, чем аудитор: достаточно перебрать десяток очевидных имён.
Форма, которая пишет данные в адрес страницы
Отдельная техническая ошибка, живущая на старых сайтах. Без атрибута method="post" браузер отправляет форму методом GET, и введённое попадает прямо в адресную строку: /zakaz?imya=Марат&telefon=89370000000. Оттуда данные растекаются в историю браузера, в логи сервера, в отчёты статистики и иногда в поисковый индекс. Удалить их из чужих журналов нельзя в принципе.
Экспорт заявок в таблицу
Менеджеры выгружают обращения в таблицу, чтобы удобнее обзвонить, и рассылают её друг другу. Дальше файл живёт на личных ноутбуках, в облачных дисках и в переписке. Технически это та же утечка, только медленная. Приведение в соответствие с ФЗ № 152 включает и правила выгрузки: кто, куда и на какой срок.
С чего начинаем аудит соответствия 152 ФЗ
- Инвентаризация всех доступов к сайту, хостингу, почте и аналитике.
- Поиск открытых архивов, дампов и журналов заявок по типовым именам.
- Проверка методов отправки форм и наличия шифрования на страницах с формами.
- Проверка галочки согласия: отдельная, непредзаполненная, со ссылкой на политику.
- Список внешних скриптов и площадки, где физически лежат данные.
Отчёт получаете с путями к файлам и скриншотами. Исправления делаем в рамках технической поддержки, а заодно закрываем находки проверки сайта на вирусы: старые доступы и веб-шеллы обычно ходят парой.
Как отозвать доступы, если контактов подрядчика больше нет
Через панель хостинга: сменить пароли FTP и базы, удалить лишних администраторов сайта, отвязать чужие почтовые адреса. Если хостинг оформлен не на вашу компанию, аккаунт восстанавливают по документам организации, а сайт переносят на собственный.
Мы ничего не храним, заявки только приходят на почту
Почтовый ящик – это тоже хранение, причём бессрочное: письма за все годы лежат в одной папке. Плюс копия заявки почти всегда пишется в файл или таблицу базы, о чём владелец сайта не знает.
Как часто нужна повторная проверка сайта на соответствие 152 ФЗ
Раз в год, а также после смены подрядчика, подключения нового виджета или переезда на другой хостинг. Каждое из этих событий меняет список тех, кто видит данные.
Проверим доступы к вашему сайту
Телефон +7 (901) 417-22-12. Составим список всех, у кого сегодня есть ключи, и закроем лишнее. Стоимость работ – в разделе цены, примеры сайтов – в портфолио.